Tietoturva ja ohjelmistot

Mitä on tietoturva?

Käsitteenä tietoturva on melko laaja kokonaisuus. Kansankielisesti tietoturva miellettiin aikoinaan virustorjuntaohjelmien tarjoamaan suojaukseen. Kysymys on kuitenkin tänä päivänä aivan muusta.
Tietoturva asiana pitää sisällään tiedon hallintaa eri tasoilla.

Mihin tietoturvallisuutta tarvitaan?

Vastaus on yksinkertaisuudessaan helppo: jotta vältytään taloudellisilta tappiolta sekä mainehaitoilta, vakavammissa tapauksissa jopa terveysvaikutuksilta. Huonon tietoturvan vuoksi on jouduttu lopettamaan muuten terveitä yrityksiä.

Kuinka huonosti hoidettu tietoturva voi lamauttaa yrityksen tai ihmisen toiminnan?

Yleisin syy yrityksen lamautumiseen tietomurrossa on sen järjestelmien (lue: työkalujen sekä kerätyn tiedon ja aineiston) rikkominen. Yhä useammin kysymyksessä on ulkopuolisen tahon (rikollisen) taloudellisen hyödyn tavoittelu. Kun tietomurtaja vie ehjän ja tärkeän datan pois organisaatiolta, perään tulee lunnasvaatimus. Mikäli lunnaita ei makseta nopeasti, kiristetään lunnasvaatimusta aiempaa suuremmalla summalla ja jopa arkaluontoisen tiedon julkaisemisella.
On ehdottoman tärkeää, että lunnaita ei makseta missään tapauksessa. Ideologisesti samalla tavalla käyttäytyvät kiristyksen kohteet veisivät lopulta pohjan kiristysyrityksiltä. Ilman taloudellista hyötyä kohteet eivät näytä enää niin houkuttelevalta.

Millaisia kokonaisuuksia tietoturva pitää sisällään?

Yksi oleellinen taso on ihmisen oma käyttäytyminen. Kuka tietoa käyttää, minne sen tallentaa, kenellä on pääsy tallennettuun tietoon? Kuinka helppoa on tehdä inhimillinen vahinko ja jakaa vahingossa organisaation hakemisto ulkopuoliselle? Tai lähettää salassa pidettävä dokumentti sähköpostitse väärälle vastaanottajalle? Kuinka monimutkainen on salasana, jolla on suojattu käytettävä järjestelmä? Onko salasana kirjoitettu lapulle näytön kylkeen vai tallennettu se salasanaholviin?

Vähintään yhtä tärkeään rooliin astuu järjestelmien tekniset suojaukset. Kuinka helppoa varkaan on kopioida tieto palvelimelta itselleen? Onko levyjärjestelmä avoin vai salattu? Kuinka palvelimen käyttöoikeudet on rajattu? Kuka voi muuttaa asetuksia ja asentaa ohjelmia? Kenellä on oikeus luoda ja muuttaa tiedostoja, kuka voi vain lukea niitä? Missä palvelin sijaitsee? Kuka pääsee laitetilaan?

Edellä mainittujen kysymysten lisäksi tulee tarkastella tapahtumia verkossa ja eri järjestelmissä.

Miksi ohjelmistojen ajantasaisuus on äärimmäisen tärkeä asia?

Aina vain suurempi osuus tietomurroista tehdään rikollisten käyttämillä täysin automatisoiduilla työkalupakeilla, joilla käydään tutkimassa ja kokeilemassa tiedettyjä haavoittuvuuksia ja tunnettuja tietoturva-aukkoja.

Mistä haavoittuvuudet syntyvät?

Periaatteessa kaikki ohjelmistot ovat pohjimmiltaan ihmisen tekemiä, ja ohjelmiston suunnitteluvaiheessa on tehtävä kompromisseja käytettävyyden, toiminnallisuuden sekä turvallisuuden osalta. Joskus tietoturvariskin mahdollistavassa asiassa kyse voi olla myös ohjelmoijan ymmärtämättömyydestä tai tahallisesta teosta. Kun näitä heikkoja lenkkejä jää ohjelmistokoodiin, vääjäämättä jossain vaiheessa aukko löydetään ja sitä aletaan hyödyntämään (aluksi salassa).

Siinä hetkessä, kun ohjelmiston valmistaja saa tietää omaa tuotettaan koskevasta haavoittuvuudesta, valmistaja pyrkii korjaamaan aukon pikimmiten. Vasta kun aukko on korjattu ja korjauspäivitys julkaistu, ohjelmiston valmistaja ilmoittaa löydetystä aukosta ja paikkauksesta julkisesti. Näin pyritään minimoimaan väärinkäytösten lukumäärä.

Tässä tullaan kuitenkin vääjäämättä siihen, että vahinkoa aiheuttavat tahot seuraavat jatkuvasti kansainvälistä haavoittuvuustietokantaa (CVE). Tuoreen haavoittuvuustiedon hyödyntäminen perustuu siis siihen, että monikaan ei ehdi päivittämään vanhoja heikolla tolalla olevia ohjelmistojaan ennen internetinlaajuista uutta murtamisyritysten aaltoa.

Me DL Datalla määritämme ja huolehdimme asiakkaidemme ohjelmistojen ajantasaisuudesta käyttämillämme nykyaikaisilla työkaluilla sekä tarvittaessa käsin, kun kyseessä on monimutkaisempi järjestelmä.